Компания Coinkite, разработчик аппаратных биткоин-кошельков Coldcard, подтвердила наличие критической ошибки в прошивке, которая позволяла злоумышленникам вычислять приватные ключи. Уязвимость, существовавшая с марта 2021 года, привела к хищению более 1300 BTC — на момент обнаружения сумма оценивалась примерно в $88,6 млн. Инцидент усугубляется недавними сомнениями в операционной надёжности Coldcard из-за крайне малого штата сотрудников — всего пять человек.
Согласно раскрытию от 30 июля, проблема возникла после обновления программного обеспечения в 2021 году. Вместо использования выделенного чипа для генерации подлинно случайных чисел устройство переключилось на программный эмулятор, который опирался на предсказуемые данные, прежде всего показания внутренних часов. Система контроля, призванная отлавливать такие ошибки, проверяла лишь наличие соответствующей настройки, но не факт её активации, поэтому дефект оставался незамеченным годами.
Технический анализ Coinkite показал, что скомпрометированные сид-фразы, генерируемые на моделях Mk2 и Mk3, обладали всего около 40 битами реальной энтропии вместо положенных 128 бит. На более новых устройствах Mk4, Mk5 и Q ситуация несколько лучше — эффективная энтропия около 72 бит, — но всё равно далека от стандарта. Команда Block независимо подтвердила эти выводы, отметив, что дополнительный источник случайности добавляет лишь порядка 32 бит.
Coinkite выпустила исправленную прошивку, включая версию 4.2.0 для Mk2 и Mk3, однако обновление не устраняет уязвимость для уже созданных кошельков. Пользователям, которые не применяли бросание игральной кости или не использовали секретную парольную фразу, рекомендовано сгенерировать новую сид-фразу и перевести средства. К 2 августа Galaxy Research насчитала 1367 украденных биткоинов с более чем 4500 адресов. Coinkite предполагает, что атакующий автоматизированно проанализировал открытый исходный код, обнаружив изъян раньше разработчиков.
Конкуренты оперативно отреагировали: Ledger подчеркнул использование сертифицированного аппаратного генератора случайных чисел в защищённом чипе, Trezor указал на независимое смешивание нескольких источников энтропии. Инцидент стал серьёзным напоминанием о том, что безопасность аппаратного кошелька зависит от программной начинки не меньше, чем от физической изоляции ключей.
